何为SSRF，能干嘛？

SSRF漏洞定义

SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF是要目标网站的内部系统。（因为他是从内部系统访问的，所有可以通过它攻击外网无法访问的内部系统，也就是把目标网站当中间人）

• 形成原因：服务端提供了从其他服务器应用获取数据的功能，且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，文档，等等。
• 主要利用方式：

  • 对外网服务器所在内网，进行本地端口扫描，获取banner信息
    测试运行在内网或本地的应用程序
    利用file协议读取本地文件等
    

漏洞可能存在的地方

  1.社交分享功能：获取超链接的标题等内容进行显示
  2.转码服务：通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览
  3.在线翻译：给网址翻译对应网页的内容
  4.图片加载/下载：例如富文本编辑器中的点击下载图片到本地；通过URL地址加载或下载图片
  5.图片/文章收藏功能：主要其会取URL地址中title以及文本的内容作为显示以求一个好的用具体验
  6.云服务厂商：它会远程执行一些命令来判断网站是否存活等，所以如果可以捕获相应的信息，就可以进行ssrf测试
  7.网站采集，网站抓取的地方：一些网站会针对你输入的url进